Beveiligd berichtenverkeer

Lust of Last ?

Daan van HeterenCommunications Security Net B.V.

Inhoud

CS Net HDN Veiligheid Veiligheid en

populaire protocollen

Communications Security Net

Focus op communicatie en security Audit door KPMG op 5 oktober 2010

Betrokken bij, en vanaf start HDN

Beheer netwerken Beheer (internet)systemen Softwareontwikkeling (comm. & sec.) Eigen Helpdesk

HDN Historie

Digitaal versturen

1993 start met “fax via netwerk” Inbellen en vaste verbindingen

1996 gestandaardiseerd berichtenverkeer koppeling met HypotheekAdviesPakket postbussen systeem

1998 verbeteren koppeling met HAP

WebsterLite

Hypotheek advies pakket

Webster

VERWERK.BATVWRKIII.BAT

Hypotheek systeem

Webster Centraal1150

Intermediair

huurlijn

dial-up

1998

Internet technologie

1999 Communicatie via Internet

2002 Introductie certificaten Eén certificaat voor berichtverkeer en

HDNonline Verbeterde encryptie

Intermediair

Advies

Maatschappij

Internet

HDN online

HDN-lite

HDN-host

TCP/IPXML3DES

HDNBerichten

server

HDNXML

Schema’s

PostbussenBerichtdata

enArchief

HDNOnlinedata

Certifica-ten DB

2002

Webservices

2005 Directe communicatie Geen postbussen meer Controle op kwaliteit berichten Optimalisatie STP Flexibiliteit berichtdefinities Dubbel uitgevoerd

InternetAdvies

Maatschappij

Authen-ticatie

Softwareupdate

Archief

HDN administratie

2005

Dienstenplatform

2010 DARTS (Diensten Autorisatie en Registratie Tabel Systeem)

Naast transport ook andere toepassingen

Uitbreiden van authenticatie (wie ben je) met autorisatie (wat mag je)

Administratie gebruik (wat doe je) Koppeling tussen diensten en

gebruikers

InternetAdvies

Maatschappij

Authen-ticatie

Softwareupdate

Archief

HDN administratie

2010

Authori-satie

Accoun-ting

Diensten van derdenDARTS

InternetAdvies

Maatschappij

Authen-ticatie

Softwareupdate

Archief

HDN administratie

2010

Authori-satie

Accoun-ting

Diensten van derdenDARTS

Diensten

HDN.nl Maatschappij Intermediair

HDN index HDN-Aansluitnummers opvragen

Maatschappij Intermediair

Nieuwe (?) diensten Differentiatie in:

Premieberekening overlijdensrisico-verzekeringen

Rentetarieven Controle’s

Verificatie Identificatie Systeem (VIS)

Kadaster Online taxatie woning

Postcode tabel (webservices.nl)

Toekomst certificaten HDN

Single SignOn√ Toegang tot hdn online√ Toegang tot berichten√ Toegang tot DARTS? Toegang tot maatschappij

extranetten? Wereldwijd toepasbaar

Veiligheid

Veiligheid

Toegang = authenticatie Bevoegd = autorisatie Achteraf controle = accounting Inzage = encrypte/decryptie Wijziging = handtekening Aankomst = Acknowledgement

Authenticatie

1. Wat je weet inlogcode

2. Wat je hebt en wat je weet Certificaat Bankpas

3. Wie je bent, (wat je hebt), wat je weet

Irisscan Fingerprint

Certificaten

Digitaal paspoort Uitreiken en beheren door

Certificate Authority (CA) Een certificaat bevat:

Eigenaar, publieke sleutel, geldigheidsduur

Locatie van 'Certificate Revocation List'

Handtekening van de ‘uitgever’

Certificaat uitgifte

1. Bestaand email adres2. Controle identiteit persoon (faxen

paspoort)3. Persoonlijke aanwezigheid

HDN Kopie uittreksel KvK (en evt.

bestuurder) Kopie identiteit tekenbevoegd persoon

Autorisatie Bevoegdheden van een persoon

Uit te voeren acties Bestellen (tot welk bedrag) Detail inzage (HDN Index)

Op basis van Authenticatie Centraal geregeld Niet lokaal opgeslagen

Accounting (logboek)

Vastleggen van transacties Datum en tijdstip Met welke authenticiteit is actie

uitgevoerd 3 maanden bewaren (wettelijke

bewaarplicht) Logfiles

Encryptie/Decryptie

Gegevens zijn vertrouwelijk inkomen, verkoopprijs, koopprijs, etc.

Op basis van Certificaat Asymmetrische cryptografie Private Key Public Key

Versleutelen bericht

U zendt mij een geheim bericht: U krijgt mijn public key U stuurt mij een bericht dat u met

mijn public key versleutelt Het versleutelde bericht kan alleen

met mijn private key ontsleuteld worden

Digitale handtekening

Ik onderteken mijn email aan u: Ik voorzie mijn email met een

controlegetal Ik versleutel dat controlegetal met mijn

private key Iedereen kan met mijn public key het

controlegetal lezen U kunt zelf het controlegetal bepalen

en vergelijken met het controlegetal dat ik gezonden heb.

Acknowledgement

Gegevens zijn vertrouwelijk inkomen, verkoopprijs, koopprijs, etc.

Aankomst bij juiste persoon Volledige aankomst Time Stamp

Veiligheid en populaire protocollen

Populaire protocollen (1) E-mail

√ Iedereen heeft het, kent het, gebruikt het√ Lijkt altijd wel aan te komen√ Geen software installatie

X Afzender & aankomsttijd niet gewaarborgd

X Kan worden ingezien en veranderdX Geen acknowledgement & accounting

Populaire protocollen (2)

FTP√ Vaak standaard geïnstalleerd√ Lijkt altijd wel te werken√ Aankomsttijd is gewaarborgd

X Afzender slecht gewaarborgdX alleen username-password

X Kan worden ingezien en veranderdX Geen acknowledgement & accounting

Lusten of Lasten ? Veiligheid en gemak zijn elkaars

tegenpolen HDN heeft een goed midden

gevonden

Weinig lasten maar veel lusten!

Vragen?